CVE-2023-36922

Command injection w SAP ECC i S/4HANA — komponent IS-OIL

CVSS 9.1v3.1pub. 2023-07-11upd. 2024-11-21

Błąd programistyczny w komponencie IS-OIL systemu SAP ECC oraz SAP S/4HANA umożliwia uwierzytelnionemu atakującemu wstrzyknięcie dowolnego polecenia systemowego przez niezabezpieczony parametr. Podatność jest krytyczna, ponieważ pozwala na przejęcie kontroli nad systemem, modyfikację danych oraz jego wyłączenie.

▸ Pokaż oryginał (EN)

Due to programming error in function module and report, IS-OIL component in SAP ECC and SAP S/4HANA allows an authenticated attacker to inject an arbitrary operating system command into an unprotected parameter in a common (default) extension. On successful exploitation, the attacker can read or modify the system data as well as shut down the system.

🤖 Analiza AI

Jak działa

Podatność wynika z błędu programistycznego w module funkcyjnym oraz raporcie należącym do komponentu IS-OIL. Niezabezpieczony parametr w domyślnym rozszerzeniu systemu nie jest poddawany właściwej walidacji ani sanityzacji danych wejściowych. Uwierzytelniony atakujący może przekazać do tego parametru złośliwe polecenie systemu operacyjnego, które zostanie wykonane z uprawnieniami procesu aplikacji SAP.

Skutki

Skuteczne wykorzystanie podatności pozwala atakującemu na odczyt lub modyfikację danych systemowych, a także na wyłączenie całego systemu SAP, co może prowadzić do poważnych zakłóceń ciągłości działania organizacji.

Mitygacja

Należy zastosować patche dostępne u producenta zgodnie z referencjami — SAP Note 3350297 dostępna w SAP Support Portal (me.sap.com). Zaleca się pilne wdrożenie poprawek w ramach cyklu aktualizacji SAP Security Patch Day.